Программно-аппаратные средства защиты информации: токены, смарт-карты, двухфакторная авторизация...

[Andrey Kim]

Должны ли персональные идентификаторы (е-токены) проходить обязательную сертификацию в СНБ или УзАСИ, как например в России? Насколько я знаю, в РФ сертификацию таких устройств проводит ФСБ. Существует ли у нас нормативная база, регулирующая эту сферу?
А если сертификация действительно является обязательной, прошел ли её самый распространенный в Узбекистане, на мой взгляд, SafeNet iKey от компании Rainbow? Заранее спасибо за ответы.

[Eldar Ishimbaev]

Сообщение от Andrey Kim

Должны ли

Да, должны.

Сообщение от Andrey Kim

прошел ли её самый распространенный в Узбекистане, на мой взгляд, SafeNet iKey от компании Rainbow

Насколько он распространен? Где? Кто использует без сертификации?

[Andrey Kim]

Сообщение от Eldar Ishimbaev

Да, должны.

Спасибо, Эльдар. По поводу нормативных документов, где я могу с ними ознакомиться?

Сообщение от Eldar Ishimbaev

Насколько он распространен? Где? Кто использует без сертификации?

Ну, насчет того сертифицирован он или нет я не знаю, поэтому задаю такой вопрос. А так эти ключи используют банки в системах ДБО, потому что другие аналоги широкого распространения не получили, а обеспечивать ИБ на стороне клиента как-то нужно уже сейчас. К тому же, это самые приемлимые по цене устройства, по крайней мере на данный момент.
К слову, прошла ли продукция компании Аладдин сертификацию, или нет? А OTP токены от компании RSA?

[Eldar Ishimbaev]

Сообщение от Andrey Kim

Спасибо, Эльдар. По поводу нормативных документов, где я могу с ними ознакомиться?

Это не истина, это мое мнение и желание, чтобы было так.

Сообщение от Andrey Kim

Ну, насчет того сертифицирован он или нет я не знаю, поэтому задаю такой вопрос.

Насчет сертификации ключей сам не имею ни малейшего понятия, самому интересно, включая и НД.

[Andrey Kim]

Нашел предписание, в котором указывается, что е-токены все таки должны быть сертифицированы.

ЗАКОН
РЕСПУБЛИКИ УЗБЕКИСТАН

4 апреля 2006 г. N ЗРУ-30

О защите информации в автоматизированной
банковской системе


Статья 8. Сертификация технических средств
в автоматизированной банковской системе

Сертификация технических средств в автоматизированной
банковской системе, а также средств защиты этой системы (в том числе и
криптографических), которые обрабатывают информацию, содержащую
государственные секреты или являющуюся конфиденциальной, осуществляется
в соответствии с законодательством.

[Andrey Kim]

ПП № 614 регулирует порядок сертификации е-токенов.

[Iskatel]

Сообщение от Andrey Kim

ПП № 614 регулирует порядок сертификации е-токенов.

Мне кажется что действие всех этих документов не распространяются ни на etoken, ни на ikey, так как сами по себе эти устройства не являются СКЗИ, а лишь защищенным носителем ключа, прямо так в положении и написано

(СКЗИ) - аппаратные, программные или аппаратно-программные средства, осуществляющие криптографические преобразования информации для обеспечения ее безопасности, в том числе
...
д) средства изготовления ключевых документов и сами ключевые документы (независимо от вида носителя ключевой информации)

А вот в случае использования OTP (от Aladdin или RSA) - да, видимо всё-таки нужна сертификация как средства для защиты от НСД.